Ich mache es wie bdt600 vorschlägt. Normal musst ja in jeder Seite ein session_start() haben. Ich habe aber statt dessen ein Script session_init.php, dass noch ein wenig mehr macht. Das script include ich in jeder Seite.
Ja da hast du recht, Chats basieren auf Ajax (Browser ist aktiv und fragt Server) oder auf Web Sockets (Server ist aktiv und informiert Browser).
Klar geht das, wenn du dir das Passwort vom Einloggen in $_SESSION merkst und dann bei jeder Gelegenheit die gleiche Prüfung machst wie beim Login. Du könntest die auch die Login-Time merken und die mit der Last-Password-Change-Time vergleichen. Aber das heißt, jede Aktion greift auf die DB zu, es sei denn du schreibst so etwas wie einen in Memory Password Cache :).
<label for="Passwort">Passwort:</label>
<input name="Passwort" id="Passwort" placeholder="Bitte Passwort eingeben" type="password"/><form action="" method="post">
<ul class="login">
<li>
Username / Email-Addresse:<br>
<input type="text" <?php if(isset($_POST['username'])) { ?> value='<?php echo trim($_POST['username']) ?>' <?php } elseif(isset($_COOKIE['givenUserName'])) { ?> value='<?php echo trim($_COOKIE['givenUserName']) ?>' <?php } ?> name="username">
</li>
<li>
Passwort:<br>
<input type="password" name="password">
</li>
<li>
<input type="submit" value="Einloggen">
</li>
<li>
<a href="index.php?section=register">Registrieren</a>
</li>
<li>
Ich habe meinen <a href="index.php?section=recover&mode=username">Username</a> oder mein <a href="index.php?section=recover&mode=password">Passwort</a> vergessen!
</li>
</ul>
</form>Ich hatte ja auch schon oben gesagt, ein Passwort im Klartext zu speichern sei generell keine gute Idee, aber als Hash oder encryptet, irgendwie muss man es ja speichern
Ich würde es (auch verschlüsselt) auf dem Server lassen und nicht bei jedem Request über die Leitung senden. Und du musst es natürlich auch beim Login und Ändern verschlüsseln, also https:// statt einfaches http:// zu verwenden.
Das musst doch so oder so, egal ob als Cookie oder im $_SESSION Array. Musst ja immer schaun, ob es noch aktuell ist, weil es eine erlaubte zweite Sitzung geändert haben könnte. Daher ja oben die Bemerkung zum In-Memory-Password-Server.
Bei https gehen die Daten verschlüsselt über die Leitung, im WLAN kann somit niemand dein Passwort abgreifen. Deine Anwendung merkt davon nichts, das machen Browser und WebServer, wenn der das unterstützt (manche Provider wollen dafür extra Cash). Statt Port 80 verwendet https Port 443, siehe https://de.wikipedia.org/wiki/Liste_der_standardisierten_Ports
